CVE-2023-36469 in XWiki
要約
〜によって VulDB • 2026年05月27日
XWiki Platformは、その上に構築されたアプリケーションに対してランタイムサービスを提供する汎用Wikiプラットフォームです。自身のユーザープロファイルおよび通知設定を編集できる任意のユーザーは、GroovyやPythonなどのマクロを含む任意のスクリプトマクロを実行でき、これによりWikiコンテンツへの無制限な読み書きアクセスを含むリモートコード実行が可能になります。この問題はXWiki 14.10.6および15.2RC1で修正されています。ユーザーはアップデートを行うよう推奨されます。回避策として、影響を受けるドキュメント `XWiki.Notifications.Code.NotificationRSSService` にパッチを当てることで、主要なセキュリティ修正を手動で適用できます。ただし、パッチに示されているようにVelocityテンプレートへの追加変更が必要となるため、差分へのリンクは切断されます。デフォルトのテンプレートはインスタンス内で利用可能であり簡単にパッチを当てることができますが、メンション用のテンプレートは `.jar` ファイル内に含まれているため、そのjarファイルを置き換えない限り修正できません。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.